Cisco PIX防火墙详细安装流程及安全配置
cisco防火墙配置手册
ASA防火墙配置笔记二〇〇六年十月二十七日序言：Cisco新的防火墙ASA系列已经面市了，将逐步取代PIX防火墙，网上关于ASA配置资料很少，现把我积累的ASA配置技术编写一个文档，供大家参考。
如有问题，可发邮件给我。
1. ....................................................................................... 常用技巧12. ....................................................................................... 故障倒换13. ....................................................... 配置telnet、ssh及http管理34. ........................................................................ v pn常用管理命令35. ............................................................................... 配置访问权限36. .................................................................. 配置sitetosite之VPN47. .............................................................. w ebvpn配置（ssl vpn）48. .............................................................................. 远程拨入VPN59. ........................................................................... 日志服务器配置610. .......................................................................... Snmp网管配置711. .................................................................................... ACS配置712. ................................................................................... AAA配置713. ..................................................................................... 升级IOS814. ..................................................................................... 疑难杂症81.常用技巧Sh ru ntp查看与ntp有关的Sh ru crypto 查看与vpn有关的Sh ru | inc crypto 只是关健字过滤而已2.故障倒换failoverfailover lan unit primaryfailover lan interface testint Ethernet0/3failover link testint Ethernet0/3failover mac address Ethernet0/1 0018.1900.5000 0018.1900.5001failover mac address Ethernet0/0 0018.1900.4000 0018.1900.4001failover mac address Ethernet0/2 0018.1900.6000 0018.1900.6001failover mac address Management0/0 0018.1900.7000 0018.1900.7001failover interface ip testint 10.3.3.1 255.255.255.0 standby 10.3.3.2注：最好配置虚拟MAC地址sh failover显示配置信息write standby写入到备用的防火墙中failover命令集如下：configure mode commands/options:interface Configure the IP address and mask to be used for failoverand/or stateful update informationinterface-policy Set the policy for failover due to interface failureskey Configure the failover shared secret or keylan Specify the unit as primary or secondary or configure theinterface and vlan to be used for failover communication link Configure the interface and vlan to be used as a link forstateful update informationmac Specify the virtual mac address for a physical interface polltime Configure failover poll intervalreplication Enable HTTP (port 80) connection replicationtimeout Specify the failover reconnect timeout value forasymmetrically routed sessionssh failover 命令集如下：history Show failover switching historyinterface Show failover command interface informationstate Show failover internal state informationstatistics Show failover command interface statistics information| Output modifiers<cr>3.配置telnet、ssh及http管理username jiang password Csmep3VzvPQPCbkx encrypted privilege 15aaa authentication enable console LOCALaaa authentication telnet console LOCALaaa authentication ssh console LOCALaaa authorization command LOCALhttp 192.168.40.0 255.255.255.0 managementssh 192.168.40.0 255.255.255.0 inside4.vpn常用管理命令sh vpn-sessiondb full l2l 显示site to site 之vpn通道情况sh ipsec stats 显示ipsec通道情况sh vpn-sessiondb summary 显示vpn汇总信息sh vpn-sessiondb detail l2l 显示ipsec详细信息sh vpn-sessiondb detail svc 查看ssl client信息sh vpn-sessiondb detail webvpn 查看webvpn信息sh vpn-sessiondb detail full l2l 相当于linux下的ipsec whack –status 如果没有建立连接，则表示ipsec通道还没有建立起来。
思科PIX防火墙的基本配置
思科PIX 防火墙的基本配置【项目目标】掌握PIX 防火墙基本配置方法。
【项目背景】某公司使用Cisco PIX 515防火墙连接到internet ，ISP 分配给该公司一段公网IP 地址。
公司具有Web 服务器和Ftp 服务器，要求让内网用户和外网用户都能够访问其web 服务和FTP 服务，但外部网络用户不可以访问内网。
【方案设计】1.总体设计ISP 分配给该公司一段公网IP 地址为61.1.1.2—61.1.1.254。
在DMZ 区域放置一台Web 服务器和一台Ftp 服务器，使用61.1.1.3和61.1.1.4这两个全局IP 地址分别将Web 服务器和Ftp 服务器发布到Internet 。
利用访问控制列表来控制外网用户的访问。
2.任务分解任务1：防火墙基本配置。
任务2：接口基本配置。
任务3：配置防火墙默认路由。
任务4：配置内网用户访问外网规则。
任务5：发布DMZ 区域的服务器。
任务6：配置访问控制列表。
任务7：查看与保存配置。
3.知识准备所有的防火墙都是按以下两种情况配置的：（1）拒绝所有的流量，这需要在网络中特殊指定能够进入和出去的流量的一些类型。
（2）允许所有的流量，这种情况需要你特殊指定要拒绝的流量的类型。
不过大多数防火墙默认都是拒绝所有的流量作为安全选项。
一旦你安装防火墙后，你需要打开一些必要的端口来使防火墙内的用户在通过验证之后可以访问系统。
换句话说，如果你想让你的内部用户能够发送和接收Email ，你必须在防火墙上设置相应的规则或开启允许POP3和SMTP 的进程。
4.拓扑结构：如图8-17所示。
图8-17 项目拓扑结构5.设备说明PIX515dmzoutsidinside File ServerWeb192.168.1.Interne以PIX515防火墙7.X 版本的操作系统为例，介绍其配置过程。
在配置之前先假设pix515防火墙的ethernet0接口作为外网接口(命名为outside)，并分配全局IP 地址为61.1.1.2；ethernet1接口作为内网接口(命名为inside)，并分配私有IP 地址为192.168.1.1；ethernet2接口作为DMZ 接口，并分配私有IP 地址为192.168.2.1。
防火墙CISCO-PIX525配置手册
防火墙CISCO-PIX525的配置基础知识现在，我们通过一个相对简单的示例说明如何使用Cisco PIX对企业内部网络进行管理。
网络拓扑图如附图所示。
Cisco PIX安装2个网络接口，一个连接外部网段，另一个连接内部网段，在外部网段上运行的主要是DNS 服务器，在内部网段上运行的有WWW服务器和电子邮件服务器，通过Cisco PIX，我们希望达到的效果是：对内部网络的所有机器进行保护，WWW服务器对外只开放80端口，电子邮件服务器对外只开放25端口。
具体*作步骤如下。
2．获得最新PIX软件---- 从Cisco公司的WWW或FTP站点上，我们可以获得PIX的最新软件,主要包括如下内容。
pix44n.exe――PIX防火墙的软件映像文件。
pfss44n.exe――PIX Firewall Syslog Server服务器软件,能够提供一个Windows NT服务,用来记录PIX的运行日志。
pfm432b.exe――图形化的PIX管理软件。
rawrite.exe――用于生成PIX的启动软盘。
3．配置网络路由---- 在使用防火墙的内部网段上，需要将每台计算机的缺省网关指向防火墙，比如防火墙内部IP地址为10.0.0.250，则内部网段上的每台计算机的缺省网关都要设置为10.0.0.250。
具体设置在“控制面板”*“网络”*“TCP/IP协议”中进行。
4．配置PIX---- 在配置PIX之前，应该对网络进行详细的规划和设计，搜集需要的网络配置信息。
要获得的信息如下。
---- （1）每个PIX网络接口的IP地址。
（2）如果要进行NAT,则要提供一个IP地址池供NAT使用。
NAT是网络地址转换技术，它可以将使用保留地址的内部网段上的机器映射到一个合*的IP地址上以便进行Internet访问（3）外部网段的路由器地址。
---- 进入PIX配置界面的方*是：连接好超级终端，打开电源，在出现启动信息和出现提示符pixfirewall>后输入“enable”，并输入密码，进入特权模式；当提示符变为pixfirewall#>后，输入“configure terminal”，再进入配置界面。
Cisco防火墙双机配置文档
CISCO PIX/ASA Failover 技术是一项故障转移配置的技术，需要两台完全一样的设备，通过一个连接，连接到对方（这个连接也叫心跳线）。
该技术用到的两台设备分为：主用和备用，备用处于待机状态。
当主用设备故障后，备用设备可启用，并设置为主用，运行自主用设备复制过来的配置（配置是跟随主用设备移动的），从而解决单点故障。
本次配置主用和备用之间采用两根心跳线，一根用于数据同步，一根用于状态同步。
配置之前请将用做心跳线的端口激活。
primary的配置(主用)：asa1(configif)# failover lan enable //启用基于LAN的Failover(适用于PIX) asa1(config)# failover lan unit primary //指定设备的角色asa1(config)# failover lan interface FO e2 //指定Failover 接口INFO: Nonfailover interface config is cleared on Ethernet2 and its subint erfacesasa1(config)# failover interface ip FO 192.168.1.1 255.255.255.0 standby 192.168.1.2 //配置FO IP地址（用于数据同步）；asa1(config) # failover link STA e3//指定state接口的为e3，并命名为STA asa1(config) # failover interface ip STA 192.168.2.1 255.255.255.0 standby 192.168.2.2//指定名字为STA的接口IP（用于状态同步）；asa1(config)# failover lan key ccxx //配置Failover key （用于对通讯加密，可配置也可不配）asa1(config)# failover //启用Failover；注意，此命令一定要先在Active上输入，否则会引起配置拷错；将一个接口指定为failover 接口后，再show inter 的时候，该接口就显示为：interface Ethernet3description LAN Failover Interfacesecondary的配置（备用）：asa1(configif)# failover lan enable //启用基于LAN的Failover(适用于PIX) asa1(config)# failover lan unit secondary //指定设备的角色asa1(config)# failover lan interface FO e2 //指定Failover 接口INFO: Nonfailover interface config is cleared on Ethernet2 and its subint erfacesasa1(config)# failover interface ip FO 192.168.1.1 255.255.255.0 standby 192.168.1.2 //配置FO IP地址（用于数据同步）；asa1(config) # failover link STA e3//指定state接口的为e3，并命名为STA asa1(config) # failover interface ip STA 192.168.2.1 255.255.255.0 standby 192.168.2.2//指定名字为STA的接口IP（用于状态同步）；asa1(config)# failover lan key ccxx //配置Failover key （用于对通讯加密，可配置也可不配）asa1(config)# failover //启用Failover；注意，此命令一定要先在Active上输入，否则会引起配置拷错；查看failover命令如下：show run | include faiover注：配置成功后将看到六条命令行。
PIX防火墙基本配置
PIX防火墙基本配置企业环境企业需求1．内网管理员能安全的对防火墙进行远程网管2．内网用户能以NAT方式上网3．内、外网用户都能访问Web、邮件等服务器实验环境虚拟机的使用1.安装Win_Pcap.cmd#只需安装一次，以后不用再安装2.启动虚拟服务XP&2003.bat3.启动PIX标准版.cmd，在命令提示符下输入如下命令=> list#查看当前虚拟机运行状态=> start LAN#启用一台内网路由器Warining: Starting LAN with no idle-pc value#提示警告没有idle值，此时CPU占用率会达到100% => idlepc get LAN#计算该路由器的idle值，Enter the number of the idlepc value to apply [1-8] or ENTER for no change: 3#输入计算出的合理idle值的序号，一般是带*号的=> idlepc save LAN db#将该路由器的idle值存入数据库，以后相同型号的路由器就不用再计算idle值了=> start W AN=> start DMZ#分别启用外网和DMZ区的路由器4．运行pixstart.bat启动防火墙，但此时CPU占用率会达100% 5．运行BSE目录下的bse.exe程序，将pemu进程的CPU占用率进行限制6．分别telnet 127.0.0.1的3007、3008、3009、8888端口登陆到LAN、W AN、DMZ和PIX上基本配置在三个路由器上输入如下相同命令Router>enRouter#confi tRouter(config)#no ip domain-lookupRouter(config)#enable secret ciscoRouter(config)#service password-encryption Router(config)#line console 0Router(config-line)#password ciscoRouter(config-line)#logging synchronousRouter(config-line)#exec-t 10Router (config-line)#password ciscoRouter (config)#line vty 0 4Router (config-line)#no login#开启telnet便于测试Router (config)#hostname LANLAN(config)#int fa0/0LAN (config-if)#ip add 192.168.0.1 255.255.255.0 LAN (config-if)#no shutRouter (config)#hostname DMZDMZ(config)#int fa0/0DMZ(config-if)#ip add 172.16.0.2 255.255.255.0 DMZ(config-if)#no shuRouter (config)#hostname W ANW AN(config)#int fa0/0W AN(config-if)#ip add 172.16.0.2 255.255.255.0W AN(config-if)#no shupixfirewall(config)# clear configure all#清除当前所有配置pixfirewall(config)# show version#查看版本号pixfirewall(config)# hostname PIXPIX(config)# show interface ip brief#查看当前接口信息，注意pix可以直接在全局模式下查看信息PIX(config)# int e0PIX(config-if)# no shutPIX(config-if)# nameif inside#输入接口的名字，当输入inside时，当前接口的安全级别为100 PIX(config-if)# ip add 192.168.0.254 255.255.255.0PIX(config-if)# int e1PIX(config-if)# no shutPIX(config-if)# nameif outside#输入接口的名字，当输入outside时，当前接口的安全级别为0 PIX(config-if)# ip add 61.0.0.254 255.255.255.0PIX(config-if)# int e2PIX(config-if)# no shutPIX(config-if)# nameif dmz#输入其它名字时，当前接口的安全级别为0 PIX(config-if)# security-level 50#调整当前接口安全级别PIX(config-if)# ip add 172.16.0.254 255.255.255.0 PIX(config)# show interface ip brief#再次查看当前接口信息PIX(config-if)# sh run interface#查看接口配置，这条命令跟路由器不一样PIX(config-if)# show nameif#查看接口安全级别PIX(config-if)# show ip address#查看接口IP地址，这条命令跟路由器不一样PIX(config-if)# ping 192.168.0.1PIX(config-if)# ping 172.16.0.2PIX(config-if)# ping 61.0.0.3#确保PIX能ping通三台路由器PIX(config-if)#wr配置pix的远程网管PIX(config)# passwd shenhui#输入远程管理密码，对telnet和ssh都适用PIX(config)# telnet 192.168.0.1 255.255.255.255 inside#只允许192.168.0.1对pix进行telnet网管，在能用SSH的情况下尽量用后面介绍的SSHpix (config)# domain-name #输入域名、时间及主机名，以便以后生成密钥pix(config)# clock timezone gmt +8#输入时区pix (config)# clock set 20:56:00 31 may 2008#输入当前时间pixfirewall(config)# sh clockPIX(config)# crypto key generate rsa general-keys modulus 1024#产生密钥PIX(config)# ssh 192.168.0.1 255.255.255.255 inside#只允许192.168.0.1对pix进行ssh网管LAN# ssh –l pix 192.168.0.254#用ssh方式远程登陆，pix为用户名，低版本的路由器不支持此命令pix(config)# http 192.168.25.170 255.255.255.255 inside#允许192.168.25.170对防火墙进行https网管pix(config)# username user1 password user1pix(config)# aaa authentication http console LOCAL#对https启用本地认证配置路由DMZ(config)#ip route 0.0.0.0 0.0.0.0 172.16.0.254LAN(config)#ip route 0.0.0.0 0.0.0.0 192.168.0.254LAN#telnet 172.16.0.2#确保内部用户能访问DMZ区，注意此时ping 172.16.0.2是不通的配置NAT，允许内部用户上网PIX(config)# nat-controlPIX(config)# nat (inside) 1 192.168.0.0PIX(config)# global (outside) 1 interface#PIX启用NAT，此处跟路由器很不一样LAN#telnet 61.0.0.3#确保内部用户在通过NAT后能访问Internet，同样ping 172.16.0.2是不通的PIX(config)# sh xlate#查看NAT转换项配置静态NAT，发布DMZ区的服务器pix(config)# static (dmz,outside) tcp interface 80 172.16.0.2 80pix(config)# static (dmz,outside) tcp interface 25 172.16.0.2 25 pix(config)# static (dmz,outside) tcp interface 110 172.16.0.2 110 pix(config)# static (dmz,outside) tcp interface 23 172.16.0.2 23 PIX(config)# sh run static#查看配置的静态NATPIX(config)# access-list OUT-DMZ permit ip any host 61.0.0.254 #配置允许外部到DMZ区的流量PIX(config)# access-group OUT-DMZ in interface outside#将列表应用到外部接口PIX(config)# sh run access-list#查看配置的列表PIX(config)# sh run access-group#查看在接口应用的列表W AN#telnet 61.0.0.254#验证外部用户能访问DMZ区的服务器PIX(config)# show access-list#查看当前列表的匹配情况。
Cisco防火墙模块安装配置手册
WS-SVC-FWM-1
Serial No. SAD062302U4
例如，刚才我们查看的防火墙模块是在 Mod 4 上，我们就可以输入登陆防火 墙
Router# session slot 4 processor 1
第三步，输入登陆密码默认是 cisco
password:
第四步，输入 enable 密码，默认没有密码
防火墙模块安装配置
防火墙模块安装配置
1 内容介绍
为配合 PICC 项目防火墙模块的安装，此防火墙配置说明文档将对防火墙基 本配置和使用情况进行介绍。
本文章包括防火墙基本性能介绍、安装方法、防火墙配置命令说明等内容， 并通过实例对命令进行一一讲解。
2 防火墙模块介绍
2.1 防火墙模块介绍
Cisco Catalyst® 6500 交换机和 Cisco 7600 系列路由器的防火墙服务模块 （FWSM）是一种高速的、集成化的服务模块，可以提供业界最快的防火墙数据 传输速率：5Gb 的吞吐量，100000CPS，以及一百万个并发连接。在一个设备中 最多可以安装四个 FWSM，因而每个设备最高可以提供 20Gb 的吞吐量。作为世 界领先的 Cisco PIX 防火墙系列的一部分，FWSM 可以为大型企业和服务供应商 提供无以伦比的安全性、可靠性和性能。
4
防火墙模块安装配置
3.2 确认防火墙模块
安装完防火墙模块后，开启交换机，确认防火墙模块是否被交换机识别。 Cisco IOS software 通过命令 show module 查看防火墙模块状态是否正常
Router> show module
Mod Ports Card Type
Model
--- ----- -------------------------------------- ------------------ -----------
(完整版)Cisco+Pix515E防火墙配置详解
目录一、PIX515分步配置1．准备工作 (2)2．启动接口与转换地址 (2)3．配置IPSEC VPN (3)4．配置VPN Client 拨入组 (5)二、VPN Client配置 (11)注释：以！开始,灰色实际配置：红色用户填写参数：斜体绿色需修改：斜体兰色带下划线一、PIX515分步配置1. 准备工作1）连接Console口的线缆一条，带有串行接口的笔记本一台2）进入配置模式实际配置：pixfirewall> enable ！进入特权模式pixfirewall# config terminal ！进入全局配置模式pixfirewall (config)# hostname pix515 ！设置防火墙主机名为pix515pix515(config)# enable password 123456 ！设置进入特权模式的密码为123456 2．启动接口与转换地址工作内容：1)开启接口与端口、为端口命名并设置安全级别2)端口地址转换【步骤1】：开启接口与端口➢命令步骤：➢实际配置：interface ethernet0 auto ！启用以太网0口使用自适应模式interface ethernet1 100full ！启用以太网1口并以100mbit/s全双工模式通信nameif ethernet0 outside security0 ！为以太网端口0命名，并设安全级别为0 nameif ethernet1 inside security100 ！为以太网端口1命名，并设安全级别为100 ip address outside 218.247.x.x 255.255.255.128！设置（ethernet0端口）外网IP地址及掩码ip address inside 192.168.x.x 255.255.255.0！设置（ethernet1端口）内网IP地址及掩码fixup protocol http 80 ！启用http协议，对应该商品80，用来上WEB网fixup protocol ftp 21 ！启用ftp协议，对应端口21，文件传输协议fixup protocol smtp 25 ！启用smtp协议，对应端口25，用于邮件发送【步骤2】：端口地址转换➢命令步骤：➢实际配置：global (outside) 1 interface ！这里的interface用来指定外部端口上的IP地址用于PATnat (inside) 1 0.0.0.0 0.0.0.0 ！允许局域网内所有网段的主机访问外网route outside 0.0.0.0 0.0.0.0 121.13.x.x！(route 命令为防火墙内网或处网端口定义一条静态路由),所有的内网数据从外网端口(outside口)离开并转发到下一跳路由器的IP地址121.13.x.x3．配置IPSEC VPN工作内容：1)配置IKE2)配置IPSEC【步骤1】：配置IKE➢命令步骤：➢实际配置：isakmp enable outside ！在外部接口上启用IKE协商isakmp key654321address 0.0.0.0 netmask 0.0.0.0！设置预共享密钥和远端IP地址及子网掩码isakmp identity address ！将IKE身份设置成接口的IP地址isakmp nat-traversal 20 ！缺省keepalives时间20秒isakmp policy 10 authentication pre-share！使用预先共享密钥进行认证，配置基本的IKE策略isakmp policy 10 encryption des！指定56们的DES做为IKE策略的加密算法isakmp policy 10 hash md5！指定MD5用于IKE策略加密算法isakmp policy 10 group 2 ！定义phase1进行IKE协商使用DH group 2isakmp policy 10 lifetime 86400！每个安全关联的生存周期为86400秒(1天)【步骤2】：配置IPSEC➢命令步骤：➢实际配置：sysopt connection permit-ipsec！对所有的IPSec流量不检测允许通过crypto ipsec transform-set hj_set esp-des esp-md5-hmac！可以在一个保密图(crypto map)中定义多个变换集。
思科防火墙使用及功能配置
10/100BaseTX Ethernet 1 (RJ-45)
10/100BaseTX Ethernet 0 (RJ-45)
Console port (RJ-45)
Power switch
通常的连接方案
PIX防火墙通用维护命令
访问模式
• PIX Firewall 有4种访问模式:
name 命令
pixfirewall(config)#
name ip_address name
DMZ
• 关联一个名称和一个IP地址
pixfirewall(config)# name 172.16.0.2 bastionhost
192.168.0.0/24
e0
.2 e2
.2
Bastion
.1
host
– 为中小企业而设计 – 并发吞吐量188Mbps – 168位3DES IPSec VPN吞吐量
63Mbps – Intel 赛扬 433 MHz 处理器 – 64 MB RAM – 支持 6 interfaces
PIX 515 基本配件
• PIX 515主机 • 接口转换头 • 链接线 • 固定角架 • 电源线 • 资料
terminal – show interface, show ip address,
show memory, show version, show xlate – exit reload – hostname, ping, telnet
enable 命令
pixfirewall>
enable
– Enables you to enter different access modes
Telecommuter
精讲PIX白皮书
精讲ＰIX白皮书————————————————————————————————作者：————————————————————————————————日期:ﻩPIX讲解白皮书作者：张其华Email：错误!未定义书签。
Ｓecurity ＣCIEﻩﻩﻩﻩﻩ一：PＩＸ防火墙简介:PIＸ防火墙是Cｉｓcｏ硬件防火墙，它能够提供空前的安全保护能力，它的保护机制的核心是能够提供面向静态连接防火墙功能的ASA(自适应安全算法）。
静态安全性虽然比较简单,但与包过滤相比,功能却更加强劲;另外,与应用层代理防火墙相比,其性能更高,扩展性更强。
AＳA可以跟踪源和目的地址、ＴCＰ序列号、端口号和每个数据包的附加TＣＰ标志。
只有存在已确定连接关系的正确的连接时，访问才被允许通过PIX防火墙。
这样做，内部和外部的授权用户就可以透明地访问企业资源，而同时保护了内部网络不会受到非授权访问的侵袭。
二:ＰＩX防火墙的特点和优势:１.Ｐroprietａrｙoperａtinｇsystem /／专用操作系统2.Stateful paｃkｅt ｉｎspｅctiｏn //状态包检测3.Ｕｓｅr-baseｄａutｈenticatｉoｎ/authorｉzａtioｎ／/基于用户验证和授权PＩＸ防火墙系列通过直通式代理——获得专利的在防火墙处透明验证用户身份、允许或拒绝访问任意基于TCP或ＵDP的应用的方法，获得更高性能优势。
该方法消除了基于UＮIX系统的防火墙对相似配置的性价影响，并充分利用了Ｃisｃo安全访问控制服务器的验证和授权服务。
4．Stａtｅfuｌfaｉlover ｃａpａbilｉtｉｅs ／／状态故障倒换特性5.Wｅb－baｓeｄmanagement solｕtｉoｎs /／基于WEB管理解决方案6.易管理性７.VPN功能PＩＸ免费提供基于软件的DＥS IPSec特性。
此外，可选3DES、ＡES许可和加密卡可帮助管理员降低将移动用户和远程站点通过互联网或其它公共IP网络连接至公司网络的成本。
Cisco网络防火墙配置方法
Cisco⽹络防⽕墙配置⽅法由于⽹络防⽕墙默认禁⽌所有的通信，因为，只有对其进⾏适当配置后，才能实现正常的⽹络通信。
1.进⼊全局配置模式ciscoasa# configure terminal2.选择欲作为⽹络防⽕墙外部接⼝的⽹络接⼝ciscoasa(config)# interface interface-id3.为该接⼝指定IP地址和⽹掩码ciscoasa（config-if）#4.将该接⼝指定IP地址和⽹掩码ciscoasa(config-if)# nameif outsideINFO：Security level for "outside" set to 0 by default5.激活该外部接⼝ciscoasa(config-if)# no shutdown6.返回⾄全局配置模式ciscoasa(config-if)# exit7.选择欲作为⽹络防⽕墙内部接⼝的⽹络接⼝ciscoasa(config-if)# interface interface-id8.为了该接⼝指定为内部接⼝。
ciscoasa(config-if)# ip address ip-address subnet-mask9.将该接⼝指定为内容接⼝ciscoasa(config-if)# nameif insideINFO:Security level for "outside" set to 100 by default10.激活该外部接⼝ciscoasa(config-if)# no shutdown11.返回⾄全局配置模式ciscoasa(config-if)# exit12.启动Web VPNciscoasa(config)# webvpn13.允许VPN对外访问ciscoasa(config-webvpn)#enable outside14.指定SSL VPN客户端（SSL VPN Clinet,SVC）⽂件位置。
防火墙的安装和调试
防火墙的安装和调试防火墙是一种用于保护计算机网络免受网络攻击和恶意软件侵害的重要安全设备。
它可以监控网络流量，并根据设定的规则对流量进行过滤和策略控制，以确保网络的安全性和稳定性。
为了正确使用和充分发挥防火墙的功能，正确的安装和调试是至关重要的。
一、确定需求和选择防火墙品牌型号在安装防火墙之前，首先要对网络环境和需求进行全面分析和评估。
根据网络规模、安全需求和预算等因素，选择适合的防火墙品牌型号。
常见的商用防火墙品牌有思科、华为、迪普等，开源防火墙品牌有iptables、pfSense等。
根据选择的防火墙品牌和型号，网上搜索并下载相应的安装和配置手册。
二、准备防火墙设备和所需软件在安装防火墙之前，确保已经准备好了所需的防火墙设备和软件。
同时，确保有足够的网线、电源线等连接线缆，以便进行设备的连接和安装。
三、安装防火墙设备1. 将防火墙设备连接到网络中。
首先将防火墙与网络中的交换机或路由器相连接，通过网线将其相互连接。
2. 为防火墙设备提供电源并启动。
将防火墙设备与电源插头相连接，并确保设备已正常启动。
四、进行防火墙的基本设置1. 通过防火墙设备的管理界面登录。
打开浏览器，输入防火墙设备的管理IP地址，并输入用户名和密码进行登录。
2. 进行基本网络设置。
根据网络规划和连接需求，设置防火墙设备的IP地址、子网掩码、网关等基本网络参数。
3. 配置防火墙规则。
根据网络环境和安全需求，设置防火墙的入站规则、出站规则、NAT转发规则等，以控制网络流量。
五、进行高级设置和调试1. 进行网络地址转换（NAT）设置。
根据网络规划和需求，进行源地址转换（SNAT）和目标地址转换（DNAT）的配置，以实现内网与外网的通信。
2. 进行安全策略和应用设置。
根据网络安全需求，设置安全策略，如访问控制列表（ACL）、虚拟专网（VPN）等，以保护内部网络的安全。
3. 进行日志和监控设置。
开启防火墙设备的日志功能，并进行日志的存储和分析。
思科防火墙设置
增加一台服务器具体要求。
新增一台服务器地址：10.165.127.15/255.255.255.128。
需要nat 转换成公网地址16.152.91.223 映射出去，并对外开通这台服务器的80端口。
在对外pix525上面增加如下：access-list acl_out permit tcp any host 16.52.91.223 eq www //开放外网对新服务器80端口static (inside,outside) 16.152.91.223 10.165.127.15 netmask 255.255.255.255 0 0 ////外高桥新服务器地址转换16.152.91.223可是为什么转换后，不能访问16.52.91.223的网页，但确可以ping通16.52.91.223，但是访问10.165.127.15的主页是正常的？？具体配置如下：pix-525> enablePassword: *****pix-525# sh run: Saved:PIX Version 6.3(5)interface ethernet0 100fullinterface ethernet1 100fullnameif ethernet0 outside security0nameif ethernet1 inside security100enable password FVHQD7n.FuCW78fS level 7 encryptedenable password 2KFQnbNIdI.2KYOU encryptedpasswd 2KFQnbNIdI.2KYOU encryptedhostname wgqpix-525fixup protocol dns maximum-length 512fixup protocol ftp 21fixup protocol h323 h225 1720fixup protocol h323 ras 1718-1719fixup protocol http 80fixup protocol rsh 514fixup protocol rtsp 554fixup protocol sip 5060fixup protocol sip udp 5060fixup protocol skinny 2000fixup protocol smtp 25fixup protocol sqlnet 1521fixup protocol tftp 69namesaccess-list acl_out permit tcp any host 16.152.91.221 eq wwwaccess-list acl_out permit icmp any anyaccess-list acl_out permit tcp any host 16.152.91.220 eq httpsaccess-list acl_out permit tcp any host 16.152.91.223 eq wwwaccess-list outbound permit icmp any anyaccess-list outbound permit ip any anypager lines 24mtu outside 1500mtu inside 1500ip address outside 16.152.91.222 255.255.255.128ip address inside 10.165.127.254 255.255.255.252ip audit info action alarmip audit attack action alarmno failoverfailover timeout 0:00:00failover poll 15no failover ip address outsideno failover ip address insideno pdm history enablearp timeout 14400static (inside,outside) 16.152.91.221 10.165.127.11 netmask 255.255.255.255 0 0 static (inside,outside) 16.152.91.220 10.165.127.23 netmask 255.255.255.255 0 0 static (inside,outside) 16.152.91.223 10.165.127.15 netmask 255.255.255.255 0 0 access-group acl_out in interface outsideaccess-group outbound in interface insideroute outside 0.0.0.0 0.0.0.0 16.152.91.129 1route inside 10.165.0.0 255.255.0.0 10.165.127.253 1timeout xlate 3:00:00timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00 timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00timeout sip-disconnect 0:02:00 sip-invite 0:03:00timeout uauth 0:05:00 absoluteaaa-server TACACS+ protocol tacacs+aaa-server TACACS+ max-failed-attempts 3aaa-server TACACS+ deadtime 10aaa-server RADIUS protocol radiusaaa-server RADIUS max-failed-attempts 3aaa-server RADIUS deadtime 10aaa-server LOCAL protocol localhttp server enableno snmp-server locationno snmp-server contactsnmp-server community publicno snmp-server enable trapsfloodguard enabletelnet 10.165.6.225 255.255.255.255 insidetelnet 10.165.127.12 255.255.255.255 insidetelnet 10.165.127.250 255.255.255.255 insidetelnet 10.165.6.15 255.255.255.255 insidetelnet 10.165.6.16 255.255.255.255 insidetelnet timeout 5ssh timeout 5console timeout 0username admin password iuQeTKNaNbruxBKd encrypted privilege 2terminal width 80Cryptochecksum:b2e1195d144f48f01fe66606cd31d0f2: endwgqpix-525#最佳答案( 回答者: xintao800 )PIX防火墙提供4种管理访问模式：²非特权模式。
sophos防火墙设置防火墙的典型配置
sophos防火墙设置防火墙的典型配置总结了防火墙基本配置十二个方面的内容。
硬件防火墙，是网络间的墙，防止非法侵入，过滤信息等，从结构上讲，简单地说是一种PC式的电脑主机加上闪存（Flash）和防火墙操作系统。
它的硬件跟共控机差不多，都是属于能适合24小时工作的，外观造型也是相类似。
闪存基本上跟路由器一样，都是那中EEPROM，操作系统跟Cisco IOS相似,都是命令行（Command）式。
我第一次亲手那到的防火墙是Cisco Firewall Pix 525，是一种机架式标准（即能安装在标准的机柜里），有2U的高度，正面看跟Cisco 路由器一样，只有一些指示灯，从背板看，有两个以太口（RJ-45网卡）,一个配置口（console）,2个USB,一个15针的Failover口，还有三个PCI扩展口。
如何开始Cisco Firewall Pix呢？我想应该是跟Cisco 路由器使用差不多吧，于是用配置线从电脑的COM2连到PIX 525的console口，进入PIX操作系统采用windows系统里的“超级终端”，通讯参数设置为默然。
初始使用有一个初始化过程，主要设置：Date(日期)、time(时间)、hostname(主机名称)、inside ip address(内部网卡IP地址)、domain(主域)等，如果以上设置正确，就能保存以上设置，也就建立了一个初始化设置了。
进入Pix 525采用超级用户(enable),默然密码为空，修改密码用passwd 命令。
防火墙是处网络系统里，因此它跟网络的结构密切相关，一般会涉及的有Route(路由器)、网络IP 地址。
还有必须清楚标准的TCP[RFC793]和UDP[RFC768]端口的定义。
下面我讲一下一般用到的最基本配置1、建立用户和修改密码跟Cisco IOS路由器基本一样。
2、激活以太端口必须用enable进入，然后进入configure模式PIX525>enablePassword:PIX525#config tPIX525(config)#interface ethernet0 autoPIX525(config)#interface ethernet1 auto在默然情况下ethernet0是属外部网卡outside, ethernet1是属内部网卡inside, inside在初始化配置成功的情况下已经被激活生效了，但是outside必须命令配置激活。
Cisco防火墙
配置PIX防火墙
4. 指定要进行转换的内部地址（nat）
网络地址翻译（nat）作用是将内网的私有ip转换为外网的公有ip,Nat 命令总是与global命令一起使用，这是因为nat命令可以指定一台主机或一 段范围的主机访问外网，访问外网时需要利用global所指定的地址池进行 对外访问。 nat命令配置语法：nat (if_name) nat_id local_ip [netmark] 其中（if_name）表示内网接口名字，例如inside. Nat_id 用来标识全局地址池，使它与其相应的global命令相匹配， local_ip表示内网被分配的ip地址,例如0.0.0.0表示内网所有主机可 以对外访问。 [netmark]表示内网ip地址的子网掩码。 例1．Pix525(config)#nat (inside) 1 0 0 表示启用nat,内网的所有主机都可以访问外网，用0可以代表0.0.0.0 例2．Pix525(config)#nat (inside) 1 172.16.5.0 255.255.0.0 表示只有172.16.5.0这个网段内的主机可以访问外网。
配置PIX防火墙
6. 设置指向内网和外网的静态路由（route）
定义一条静态路由。route命令配置语法： route (if_name) 0 0 gateway_ip [metric] 其中（if_name）表示接口名字，例如inside，outside。 Gateway_ip表示网关路由器的ip地址。[metric]表示到gateway_ip的跳数。 通常缺省是1。 例1: Pix525(config)#route outside 0 0 61.144.51.168 1 表示一条指向边界路由器（ip地址61.144.51.168）的缺省路由。 例2: Pix525(config)#route inside 10.1.1.0 255.255.255.0 172.16.0.1 1 Pix525(config)#route inside 10.2.0.0 255.255.0.0 172.16.0.1 1 如果内部网络只有一个网段，按照例1那样设置一条缺省路由即可；如 果内部存在多个网络，需要配置一条以上的静态路由。上面那条命令表示 创建了一条到网络10.1.1.0的静态路由，静态路由的下一跳路由器ip地址是 172.16.0.1
CISCO PIX515E 防火墙的详细设置资料
conduit permit tcp host 202.105.113.203 eq www any
conduit permit tcp host 202.105.113.203 eq ftp any
conduit permit tcp host 202.105.113.205 eq smtp any
255.255.255.255 0 0
static (inside,outside) 202.105.113.205 192.168.1.11netmask
255.255.255.255 0 0
conduit permit icmp any any
步骤1：用access-list命令来配置加密用访问控制列表；
例如：
access-list acl-name {permit|deny} protocol src_addr src_mask [operator
port [port]] dest_addr dest_mask [operator prot [port]]
!server beind PIX Firewalls is encrypted ,The source
!and destination IP address are the global IP addresses of the statics.
Access-list 101 permit ip host 192.168.1.10 host 192.168.2.10
global (outside) 1 202.105.113.201
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
static (inside,outside) 202.105.113.203 192.168.1.10 netmask
工业路由器与Cisco ASA防火墙构建IPSec VPN配置指导
工业路由器与Cisco ASA防火墙构建IPSec VPN 配置指导1.概述本文档主要讲述了关于东用科技路由器与中心端Cisco ASA/PIX防火墙构建LAN-to-LAN VPN的方法。
ORB全系列产品均支持VPN功能，并与众多国际主流中心端设备厂商产品兼容。
建立起LAN-to-LAN VPN之后便可以实现下位机—路由器LAN 端与上位机—中心端设备LAN进行双向通信。
2.网络拓扑2.1网络拓扑1接入端1的LAN端IP地址为192.168.2.0/24网段且不与接入端2LAN重复2接入端的设备ORB系列路由器均支持IPSec VPN3东用科技路由器通过有线或无线PPPOE拨号或固定IP形式获取外部IP地址4接入端2的LAN端IP地址为192.168.3.0/24网段且不与接入端1LAN重复5接入端的设备ORB系列路由器均支持IPSec VPN6东用科技路由器通过有线或无线PPPOE拨号或固定IP形式获取外部IP地址7中心端设备必须采用固定IP地址。
地址为173.17.99.100/248中心端设备可以采用cisco，juniper，华为，H3C等国际知名厂商支持IPSec的设备9中心端LAN端IP地址为172.16.1.0/24且不与建立通道的任何LAN重复2.2网络拓扑说明中心端设备为Cisco ASA/PIX防火墙，IOS版本8.0；外部IP地址173.17.99.100，掩码255.255.255.0；内部IP地址172.16.1.1，掩码255.255.255.0接入端1设备为东用科技路由器；外部IP地址193.169.99.100，掩码255.255.255.0；内部IP地址192.168.2.1，掩码255.255.255.0接入端2设备为东用科技路由器；外部IP地址193.169.99.101，掩码255.255.255.0；内部IP地址192.168.3.1，掩码255.255.255.03.配置指导3.1中心端Cisco ASA/PIX基本配置Ciscoasa&pix#configure terminal//进入配置模式Ciscoasa&pix(config)#interface ethernet0/1//进入内部接口的配置模式（端口类型及端口号请以现场设备为准，内部或外部接口可自行选择）Ciscoasa&pix(config-if)#nameif inside//为内部接口关联一个inside的名称Ciscoasa&pix(config-if)#ip address172.16.1.1255.255.255.0//为内部接口配置IP地址Ciscoasa&pix(config-if)#exit//退出内部接口的配置模式Ciscoasa&pix(config)#interface ethernet0/0//进入外部接口的配置模式（端口类型及端口号请以现场设备为准，内部或外部接口可自行选择）Ciscoasa&pix(config-if)#nameif outside//为外部接口关联一个outside的名称Ciscoasa&pix(config-if)#ip address173.17.99.100255.255.255.0//为外部接口配置IP地址Ciscoasa&pix(config-if)#exit//退出外部接口的配置模式Ciscoasa&pix(config)#route outside0.0.0.00.0.0.0173.17.99.1//配置静态默认路由，173.17.99.1为外部接口的网关地址，该地址一般为ISP提供Ciscoasa&pix(config)#access-list permiticmp extended permit icmp any any//创建访问控制列表允许所有icmp报文，此条访问控制列表的目的是为了测试或排障时使用ping命令（防火墙默认是禁止任何ICMP包通过的）Ciscoasa&pix(config)#access-group permiticmp in interface outside//将访问控制列表应用到外部接口Ciscoasa&pix(config)#access-list nonat extended permit ip172.16.1.0255.255.255.0 192.168.2.0255.255.255.0//创建访问控制列表允许172.16.1.0/24网络到192.168.2.0/24网络，此条访问控制列表的目的是对172.16.1.0/24网络到192.168.2.0/24网络的数据包IP字段不进行地址转换(PAT)，172.16.1.0/24是中心端内部网络，192.168.2.0/24是远端内部网络Ciscoasa&pix(config)#global(outside)1interface//在外部接口(outside)上启用PAT Ciscoasa&pix(config)#nat(inside)0access-list nonat//对从内部接口进入的且匹配nonat访问控制列表的数据包IP字段不进行地址转换（PAT），序列号0代表不转换Ciscoasa&pix(config)#nat(inside)1172.16.1.0255.255.255.0//对从内部接口进入的源地址为172.16.1.0/24的数据包IP字段进行地址转换（PAT）。
Cisco PIX防火墙的安装流程
CiscoPIX防火墙的安装流程CiscoPIX防火墙的安装流程1.将PIX安放至机架，经检测电源系统后接上电源，并加电主机。
2.将CONSOLE口连接到PC的串口上，运行HyperTerminal程序从CONSOLE 口进入PIX系统；此时系统提示pixfirewall>。
3.输入命令：enable,进入特权模式，此时系统提示为pixfirewall#。
4.输入命令：configureterminal,对系统进行初始化设置。
5.配置以太口参数：interfaceethernet0auto （auto选项表明系统自适应网卡类型）interfaceethernet1auto6.配置内外网卡的IP地址：ipaddressinsideip_addressnetmaskipaddressoutsideip_addressnetmask7.指定外部地址范围：global1ip_address-ip_address8.指定要进行要转换的内部地址：nat1ip_addressnetmask9.设置指向内部网和外部网的缺省路由routeinside00inside_default_router_ip_addressrouteoutside00outside_default_router_ip_address10.配置静态IP地址对映：staticoutsideip_address insideip_address11.设置某些控制选项：conduitglobal_ipport[-port]protocolforeign_ip[netmask] global_ip 指的是要控制的地址port 指的是所作用的端口，其中0代表所有端口protocol 指的是连接协议，比如：TCP、UDP等foreign_ip 表示可访问global_ip的外部ip，其中表示所有的ip。
12.设置telnet选项：telnetlocal_ip[netmask]local_ip 表示被允许通过telnet访问到pix的ip地址（如果不设此项，PIX的配置只能由consle方式进行）。
第8章-Cisco PIX防火墙
global if_name nat_id interface|global_ip[global_ip] ［netmask global_mask］
续表
命令格式 nat if_name nat_id local_address ［netmask］ 用途及说明 与global命令配合使用，指定哪些内网地 址可以与哪个地址池联系，通过翻译访问 其他网络。选项“if-name”表示使用全局 地址的内部接口名称；“local_address”与 ［netmask］配合使用，限定可以进行地 址翻译的内网地址，例如用192.168.1.0 255.255.255.0表示一个网络
默认情况下，ASA拒绝来自外部 （安全级别低）接口的主机发出的到内部 （安全级别高）主机的连接。 ASA支持认证、授权和记账 （AAA）。
表8.1
ASA安全级别关系
接 口 对
与边界接口的关 系
配置指导
外部安全级别0 到DMZ安全级 别50
认为DMZ是可以 信任的
必须配置静态地址翻译和管道或 访问列表，让源自外部接口的会 话可以到达DMZ接口
内部安全级别 认为DMZ是不能 100到DMZ安全 信任的 级别50
需要配置动态地址翻译，允许源 自内部接口“安全级别100”的会 话访问DMZ接口
8.1.3 PIX防火墙系列产品介绍
表8.2 PIX防火墙产品规格和特性
PIX防火墙产品 尺寸（机架单 元） 处理器（MHz） RAM（MB）
PIX 506 桌面 200 32
PIX 515 1RU 200 32/64
PIX 520 3RU 350 64/128
PIX 525 2RU 600 128256
PIX 535 3RU 1000 512/1000
PIX防火墙
PIX防火墙一、PIX防火墙的认识PIX是Cisco的硬件防火墙，硬件防火墙有工作速度快，使用方便等特点。
PIX有很多型号，并发连接数是PIX防火墙的重要参数。
PIX25是典型的设备。
PIX防火墙常见接口有：console、Failover、Ethernet、USB。
网络区域：内部网络：inside外部网络：outside中间区域：称DMZ 。
放置对外开放的服务器。
二、PIX防火墙的配置模式：PIX防火墙的配置模式与路由器类似，有4种管理模式：PIXfirewall>：用户模式PIXfirewall#：特权模式PIXfirewall(config)#：配置模式monitor>：ROM监视模式，开机按住[Esc]键或发送一个“Break”字符，进入监视模式。
三、PIX基本配置命令常用命令有：nameif、interface、ip address、nat、global、route、static等。
1、nameif设置接口名称，并指定安全级别，安全级别取值范围为1～100，数字越大安全级别越高。
例如要求设置：ethernet0命名为外部接口outside，安全级别是0。
ethernet1命名为内部接口inside，安全级别是100。
ethernet2命名为中间接口dmz, 安装级别为50。
使用命令：PIX525(config)#nameif ethernet0 outside security0PIX525(config)#nameif ethernet1 inside security100PIX525(config)#nameif ethernet2 dmz security502、interface配置以太口工作状态，常见状态有：auto、100full、shutdown。
auto：设置网卡工作在自适应状态。
100full：设置网卡工作在100Mbit/s，全双工状态。
shutdown：设置网卡接口关闭，否则为激活。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
..1. 将PIX安放至机架，经检测电源系统后接上电源，并加电主机。
2. 将CONSOLE口连接到PC的串口上，运行HyperTerminal程序从CONSOLE口进入PIX系统;此时系统提示pixfirewall>.3. 输入命令:enable，进入特权模式，此时系统提示为pixfirewall#.4. 输入命令: configure terminal，对系统进行初始化设置。
5. 配置以太口参数:interface ethernet0 auto (auto选项表明系统自适应网卡类型 )interface ethernet1 auto6. 配置内外网卡的IP地址:ip address inside ip_address netmaskip address outside ip_address netmask7. 指定外部地址范围:global 1 ip_address-ip_address8. 指定要进行转换的内部地址:nat 1 ip_address netmask9. 设置指向内部网和外部网的缺省路由route inside 0 0 inside_default_router_ip_addressroute outside 0 0 outside_default_router_ip_address10. 配置静态IP地址对映:static outside ip_address inside ip_address11. 设置某些控制选项:conduit global_ip port[-port] protocol foreign_ip [netmask]global_ip指的是要控制的地址port指的是所作用的端口，其中0代表所有端口protocol指的是连接协议，比如:TCP、UDP等foreign_ip表示可访问global_ip的外部ip，其中表示所有的ip.12. 设置telnet选项:telnet local_ip [netmask] llocal_ip表示被允许通过telnet访问到pix的ip地址(如果不设此项，PIX 的配置只能由consle方式进行)。
13. 将配置保存:wr mem14. 几个常用的网络测试命令:#ping#show interface查看端口状态#show static查看静态地址映射Cisco PIX 520 是一款性能良好的网络安全产品，如果再加上Check Point 的软件防火墙组成两道防护，可以得到更加完善的安全防范。
主要用于局域网的外连设备(如路由器、拨号访问服务器等)与内部网络之间，实现内部网络的安全防范，避免来自外部的恶意攻击。
Cisco PIX 520的默认配置允许从内到外的所有信息请求，拒绝一切外来的主动访问，只允许内部信息的反馈信息进入。
当然也可以通过某些设置，例如:访问表等，允许外部的访问。
因为，远程用户的访问需要从外到内的访问。
另外，可以通过NAT地址转换，实现公有地址和私有地址的转换。
简单地讲，PIX 520的主要功能有两点:1.实现网络安全2.实现地址转换下面简单列出PIX 520 的基本配置1.Configure without NATnameif ethernet0 outside security0nameif ethernet1 inside security100interface ethernet0 autointerface ethernet1 autoip address outside 202.109.77.1 255.255.255.0 (假设对外端口地址)ip address inside 10.1.0.9 255.255.255.0(假设内部网络为:10.1.0.0)hostname bluegardenarp timeout 14400no failovernamespager lines 24logging buffered debuggingnat (inside) 0 0 0rip inside default no rip inside passive no rip outside default rip outside passiveroute outside 0.0.0.0 0.0.0.0 202.109.77.2 1(外连设备的内部端口地址)timeout xlate 3:00:00 conn 1:00:00 udp 0:02:00 timeout rpc 0:10:00 h323 0:05:00 timeout uauth 0:05:00 absoluteno snmp-server location no snmp-server contact snmp-server community publicmtu outside 1500 mtu inside 15002.Configure with NATnameif ethernet0 outside security0nameif ethernet1 inside security100interface ethernet0 autointerface ethernet1 autoip address outside 202.109.77.1 255.255.255.0 (假设对外端口地址)ip address inside 10.1.0.9 255.255.255.0(假设内部网络为:10.1.0.0)hostname bluegardenarp timeout 14400no failovernamespager lines 24logging buffered debuggingnat (inside) 1 0 0global (outside) 1 202.109.77.10-202.109.77.20 global (outside) 1 202.109.22.21no rip inside default no rip inside passive no rip outside default no rip outside passiveconduit permit icmp any anyroute outside 0.0.0.0 0.0.0.0 202.109.77.2 1(外连设备的内部端口地址)timeout xlate 3:00:00 conn 1:00:00 udp 0:02:00 timeout rpc 0:10:00 h323 0:05:00 timeout uauth 0:05:00 absoluteno snmp-server location no snmp-server contact snmp-server community publicmtu outside 1500 mtu inside 1500Cisco PIX 的多点服务配置结构图如下:PIX 520Two Interface Multiple Server Configuration nameif ethernet0 outside security0nameif ethernet0 inside security100interface ethernet0 autointerface ethernet1 autoip address inside 10.1.1.1 255.0.0.0ip address outside 204.31.17.10 255.255.255.0 logging onlogging host 10.1.1.11logging trap 7logging facility 20no logging consolearp timeout 600nat (inside) 1 10.0.0.0 255.0.0.0nat (inside) 2 192.168.3.0 255.255.255.0global (outside) 1 204.31.1.25-204.31.17.27 global (outside) 1 204.31.1.24global (outside) 2 192.159.1.1-192.159.1.254 conduit permit icmp any anyoutbound 10 deny 192.168.3.3 255.255.255.255 1720 outbound 10 deny 0 0 80outbound 10 permit 192.168.3.3 255.255.255.255 80 outbound 10 deny 192.168.3.3 255.255.255.255 java outbound 10 permit 10.1.1.11 255.255.255.255 80apply (inside) 10 outgoing_srcno rip outside passiveno rip outside defaultrip inside passiverip inside defaultroute outside 0 0 204.31.17.1.1tacacs-server host 10.1.1.12 lq2w3eaaa authentication any inside 192.168.3.0 255.255.255.0 0 0 tacacs+aaa authentication any inside 192.168.3.0 255.255.255.0 0 0static (inside,outside) 204.31.19.0 192.168.3.0 netmask 255.255.255.0 conduit permit tcp 204.31.19.0 255.255.255.0 eg h323 anystatic (inside,outside) 204.31.17.29 10.1.1.11conduit permit tcp host 204.31.17.29 eq 80 anyconduit permit udp host 204.31.17.29 eq rpc host 204.31.17.17conduit permit udp host 204.31.17.29 eq 2049 host 204.31.17.17static (inside.outside) 204.31.1.30 10.1.1.3 netmask 255.255.255.255 10 10 conduit permit tcp host 204.31.1.30 eq smtp anyconduit permit tcp host 204.31.1.30 eq 113 anysnmp-server host 192.168.3.2snmp-server location building 42snmp-server contact polly hedrasnmp-server community ohwhatakeyistheetelnet 10.1.1.11 255.255.255.255telnet 192.168.3.0 255.255.255.0CISCOPIX防火墙配置实践——介绍一个PIX防火墙实际配置案例，因为路由器的配置在安全性方面和PIX防火墙是相辅相成的，所以路由器的配置实例也一并列出。